-
Yii框架本身不处理HTTPS协议切换，真正的HTTPS配置发生在Web服务器层（Nginx/Apache/IIS），Yii只需适配已加密的请求环境；Web服务器必须先完成SSL终止和301跳转，再通过正确透传HTTPS标识（如X-Forwarded-Proto）并配置request组件secure=true、动态baseUrl等，确保URL生成、Cookie传输及表单提交均走HTTPS。
-
PHP数组跨语言交互应优先用json_encode()替代serialize()，因其输出标准JSON且兼容Python/JS/Go等；但需规避资源、闭包及对象限制，中文加JSON_UNESCAPED_UNICODE，浮点数精度敏感时转字符串处理。
-
慢查询核心在于“未走索引+扫描行数多”，而非单纯执行时间长；需用getRawSql()获取真实SQL再执行EXPLAIN分析type、key、Extra三列，警惕隐式类型转换、前导LIKE、函数包裹及联合索引顺序错误等索引失效场景。
-
ApacheURL重写失败主因是mod_rewrite模块未启用和AllowOverride未设为All，二者缺一不可且须按序配置：先启用模块（a2enmod或取消httpd.conf中#注释），再修改对应Directory块的AllowOverride为All，最后重启Apache。
-
扫码登录的核心是“状态轮询+临时凭证”，PHP仅生成带过期时间的加密ticket并供前端轮询，扫码行为由客户端完成，后端不主动监听；票据需存Redis、绑定设备标识、防伪造、防遍历，轮询接口只查询不改状态，确认操作须原子化。
-
PHPAPI返回404的最常见原因是URL未匹配路由规则，需依次检查服务器重写配置、框架路由定义、入口文件加载、.htaccess生效性、框架内部404逻辑及预检OPTIONS请求。
-
ob_get_contents()能抓取页面内容是因为它读取PHP输出缓冲区中的快照，不终止也不清空缓冲；常见返回空字符串的原因包括未调用ob_start()、提前输出或缓冲被关闭。
-
Laravel10是带强制门槛的演进版本，PHP8.1为硬性依赖，enum等新语法使低版本无法启动；Feature::define必须在服务提供者中用闭包定义以支持动态灰度；Process::run()返回ProcessResult对象，需显式调用output()；路由缓存不支持闭包路由，须改用控制器或to(fn())语法；make:model默认不生成$fillable，需手动声明以防MassAssignmentException。
-
安装phpEnv应选纯英文无空格路径（如D:\dev\phpenv），避免C:\ProgramFiles；phpenv需先安装php-build插件，Windows下须配php.ini及扩展路径，且phpEnv与phpenv不可混用。
-
PHP无法直接实现CSS渐变过渡，需动态生成带linear-gradient()的HTML/CSS并配合transition属性；色彩应选同系深浅、用3–5色标，PHP输出须htmlspecialchars()防护，动态交互必须由JS完成。
-
最直接可靠的方式是使用is_bool()函数，它严格检测变量类型是否为bool，不进行类型转换，也不依赖值的真假性；而==true、gettype()或真值判断均不能准确识别布尔类型。
-
PHP中使用Unicode属性类（如\p{L}）或行结束符（\R）时，必须启用u（UTF-8）修饰符，否则匹配失败；同时需用\R替代[^\w]等模糊断言，以可靠匹配跨平台换行符。
-
eval()动态创建类极危险，因直接执行字符串代码，输入可控即导致远程代码执行（RCE），如URL参数注入可写入WebShell；PHP8.1+加警告但不阻止，OPcache缓存难清除，静态分析失效。
-
必须在输出环节做HTML实体转义，因WAF仅检测请求层、无法拦截存储型XSS；PHP中所有动态输出到HTML的内容都须用htmlspecialchars()处理，且禁用innerHTML等危险DOM操作，辅以CSP兜底。
-
isset()仅判断变量是否已定义且非null，不检测语义空值；安全校验需组合isset()、trim()、strlen()或使用filter_input()。
